--- title: "GhostAction saldırganları sahte fontla kimlik avı yaptı, 94 GitHub deposu hedef alındı" url: "https://teknotayf.com/haber/ghostaction-saldirganlari-sahte-fontla-kimlik-avi-yapti-94-github-deposu-hedef-alindi" markdown_url: "https://teknotayf.com/haber/ghostaction-saldirganlari-sahte-fontla-kimlik-avi-yapti-94-github-deposu-hedef-alindi.md" site: "teknotayf.com" language: "tr" published: "2026-10-19 16:05:45" updated: "2026-10-19 13:47:51" category: "Siber Güvenlik" tags: ["Açık Kaynak","Kimlik Avı","Tedarik Zinciri Saldırısı","Malware","GitHub Güvenlik"] source: "The Hacker News" --- # GhostAction saldırganları sahte fontla kimlik avı yaptı, 94 GitHub deposu hedef alındı > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/ghostaction-saldirganlari-sahte-fontla-kimlik-avi-yapti-94-github-deposu-hedef-alindi > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** GhostAction tedarik zinciri saldırısının arkasındaki tehdit aktörü, kötü amaçlı GitHub Actions iş akışlarının ötesine geçerek açık kaynak geliştiricilerini hedef alan kimlik avı kampanyası başlattı. Sahte bir yazı tipi dosyası içinde gizlenmiş çalıntı yazılım ve my-github.com alan adıyla yürütülen OAuth cihaz akışı saldırısı, 94 deponun tehlikeye girmesine yol açtı. - **Yayın tarihi:** 2026-10-19 16:05 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Açık Kaynak, Kimlik Avı, Tedarik Zinciri Saldırısı, Malware, GitHub Güvenlik - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/10/ghostaction-attackers-plant-credential.html) ![GhostAction saldırganları sahte fontla kimlik avı yaptı, 94 GitHub deposu hedef alındı](https://teknotayf.com/assets/uploads/2026/10/011defe16c44f43d3484be6464b41453.jpg) GhostAction tedarik zinciri saldırısının arkasındaki tehdit aktörü, kötü amaçlı GitHub Actions iş akışlarını ele geçirilmiş projelere enjekte etmenin ötesine geçti; açık kaynak geliştiricilerini kimlik avına çekiyor ve sahte bir yazı tipi dosyası içinde gizlenmiş bir çalıntı yazılım dağıtıyor. OpenSourceMalware tarafından detaylandırılan son evrim, saldırganların GitHub'ın iş akışının çalışmasını engellemek için attığı adımlara yanıt olarak yöntemlerini aktif olarak geliştirdiğini gösteriyor. Tehdit istihbaratı platformuna göre tehdit aktörü, "my-github[.]com" alan adını kaydetti ve bunu "193.32.204[.]199," IP adresine yönlendirdi; bu IP adresi aynı zamanda kötü amaçlı iş akışı çalıştırılarak toplanan verilerin sızdırılması için kullanılan uç nokta. Alan adı 9 Ekim 2026'da kaydedildi, "my-gitlab[.]com" alan adının kaydedilmesinden 17 gün sonra. İkincisinin aynı tehdit aktörü tarafından işletilip işletilmediği belli değil. "Aynı my-.com adlandırma desenini takip ediyor, bu da kullanışlı bir geçiş noktası yapıyor, ancak mevcut altyapı onu **GhostAction** ile doğrudan ilişkilendirmiyor," dedi güvenlik araştırmacısı Paul McCarty. "Farklı kayıt kuruluşları, kayıtlı kişi kayıtları, Cloudflare nameserver çiftleri, IP adresleri, ASN'ler ve DNS tasarımları kullanıyorlar ve paylaşılan bir sertifika veya hesap kalıntısı bulunamadı." Bundan sonra "my-github[.]com" alan adı, kayıt edildiği gün bir açık kaynak bakımını hedeflemek için GitHub güvenlik uyarısını taklit eden bir kimlik avı e-postasında kullanıldı. "noreply@my-github[.]com" adresinden gönderilen mesaj, GitHub hesabına Rusya'nın Moskova kentinden yeni bir giriş yapıldığını uyarıyor ve hesabı güvenceye almak için bir bağlantıya tıklamalarını istiyor. OpenSourceMalware'e göre aldatıcı sayfa, kurbanın şifresini ve iki faktörlü kimlik doğrulama kodunu toplayan bir ters proxy olarak hareket etti ve iş akışlarını değiştirmek için bir OAuth uygulamasını yetkilendiren JavaScript enjekte etti; böylece GhostAction tarzı bir saldırıyı kolaylaştırdı. Sahte giriş sayfası ayrıca repo, workflow ve read:org kapsamlarıyla GitHub OAuth cihaz akışını sessizce yetkilendiren JavaScript içeriyor; bu da depoları okuma/yazma, Actions iş akışı dosyalarını değiştirme ve kuruluş üyeliği ile ilgili kuruluş verilerine görünürlük kazanma konusunda geniş izinler veriyor. Fikir, cihaz kodu kimlik avıyla aynı; nihai hedef GitHub'dan bir erişim belirteci elde etmek ve bunu TCP/8443 üzerinde "my-github[.]com" adresine sızdırmak. "Komut dosyası bir cihaz kodu ve kullanıcı kodu alır, /login/device'i yükler, döndürülen HTML'den GitHub'ın formlarını çıkarır ve bunları otomatik olarak gönderir," diye açıkladı McCarty. "Kullanıcı kodunu ekler, bir yetkilendirme formu bulur, authorize=1 ekler ve onaylamayı kurbanın kimliği doğrulanmış proxy oturumu üzerinden gönderir." "Kurbanın cihaz kodunu yazması veya OAuth uygulamasını bilinçli olarak onaylaması gerekmez. Bu kit, ters proxy oturumu üzerinden kullanıcı kodu ve yetkilendirme adımlarını otomatikleştirerek daha da ileri gidiyor." Depo kapsamlı bir OAuth belirteci çalınarak saldırgana yeniden kullanılabilir bir API kimliği verilir. Ayrıca gizli OAuth yetkilendirmesiyle verilen izinler, GhostAction'ın depoları numaralandırma ve ".github/workflows/." altında kötü amaçlı iş akışı dosyaları enjekte etme yeteneğiyle tutarlıdır. "Aktör artık proje, kuruluş, kayıt ve aşağı akış kullanıcılarına erişim sağlayan hesaplara karşı bireysel sosyal mühendisliği ile depo ölçeğinde otomasyonu birleştirebilir," dedi OpenSourceMalware. Dahası, kampanyanın geliştirici makinelerinde kötü amaçlı iş akışı kaldırıldıktan sonra bile süren ikinci aşamalı bir bileşen içerdiği görüldü. Özellikle yaklaşım, Kuzey Kore'nin oyun kitabından bir sayfa alarak üç farklı dosyanın taahhüt edilmesini içeriyor - Uygulama açıldığında otomatik olarak çalışması için "runOn: folderOpen" tetikleyicisine sahip bir Microsoft Visual Studio Code (VS Code) tasks.json dosyası. "public/fonts/fa-solid-400.woff2" adlı bir dosya, AWS anahtarlarını, PyPI belirteçlerini, npm belirteçlerini, Git girişlerini, Kubernetes küme kimlik bilgilerini, SSH özel anahtarlarını ve Anthropic Claude ile Google Gemini için yapay zeka sağlayıcı kimlik bilgilerini toplamak üzere tasarlanmış bir çalıntı yazılım yükü içeriyor. Yazı tipi dosya adı, Ocak 2026'dan Kuzey Kore'nin PolinRider kampanyasında kullanılanla aynı. Çalıntı yazılım hiç çalışmazsa etkinleşen ikinci bir GitHub Actions iş akışı. Bu, VS Code'un kimlik bilgisi çalıntı yazılımını otomatik olarak çalıştırmasına neden olur; bu yazılım verileri toplamanın yanı sıra saldırgan tarafından sağlanan kodu her beş dakikada bir çalıştıran bir cron işi kurar. Toplanan veriler düz HTTP üzerinden 8080 numaralı bağlantı noktasındaki aynı sunucuya gönderilir. İkinci aşamalı bileşenle **94 tehlikeye atılmış depo** tespit edildi. İkinci CI iş akışı için, bu orijinal kötü amaçlı iş akışı ile aynı, ancak aranacak kimlik bilgisi formatları eklendi ve POST başarısız olursa bulguları gizli bir GitHub gist'e yükleyen bir geri dönüş mekanizması var. İkinci iş akışı şu adlarla geçiyor - OpenSourceMalware, 94 deponun 66 sahibine ait olduğunu, bunların 15'inin silindiğini, yeniden adlandırıldığını veya gizli hale getirildiğini söyledi. Hala erişilebilen depoların çoğu büyük ölçüde terk edilmiş görünüyor, bunlardan biri dokuz yıldan fazla süreyle hiç dokunulmadan kaldı. 79'un 65'i bir yıldan fazla süredir taahhüt almadı. "1. Aşama GitHub'ın iş akışını çalıştırmasını gerektirir," dedi OpenSourceMalware. "9 Ekim'de GitHub kötü amaçlı iş akışının çalışmasını engellemeye başladı ve 10 ve 12 Ekim'deki dalgalar hiçbir gizli bilgi çıkarmadı. 2. Aşama, bir çalıştırıcıya hiç ihtiyaç duymayan bir başlatıcı ekler ve engellemeden altı gün sonra geldi. Engellenmenin buna neden olduğunu söyleyemeyiz. Operatörün GitHub kontrollerinin ulaşmadığı bir yere taşındığını söyleyebiliriz." Tehdidi azaltmak için geliştiricilerin temiz bir cihazdan GitHub erişimini ve belirteçlerini iptal etmeleri, şifrelerini değiştirmeleri, depolarını denetlemeleri, iş akışlarının erişebileceği her kimlik bilgisini döndürmeleri ve depolarını klonlamış kullanıcıları uyarmaları öneriliyor. "Operatörün kim olduğunu bilmiyoruz, ancak çalışmaları sınırlı deneyim öneriyor," dedi OpenSourceMalware'in kurucu ortağı Jenn Gile, The Hacker News'e. "Çalıntı yazılımın ortam değişkeni filtresi çoğu API anahtarını kaçırıyor, ana dizin araması zaman aşımına uğrayıp kendi sonuçlarını atabiliyor ve tek bir IP sızdırma, kimlik avı ve gürültülü internet taramasını yürütüyor. Son hata, IP'yi aramanın hala enfeksiyonları bulmasının nedeni." --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/ghostaction-saldirganlari-sahte-fontla-kimlik-avi-yapti-94-github-deposu-hedef-alindi Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.